Segurança Aula 04 Ataques Camada 2 Mauro Mendes – mar/2014.

Apresentação em tema: "Segurança Aula 04 Ataques Camada 2 Mauro Mendes – mar/2014."— Transcrição da apresentação:

1 Segurança Aula 04 Ataques Camada 2 Mauro Mendes – mar/2014

2 Camadas Arquiteturas de Rede
1-Física Acesso à Rede 2-Enlace Internet 3-Rede Transporte 4-Transporte 5-Sessão 6-Apresentação Aplicação 7-Aplicação TCP/IP OSI

3 Transmissão usando Roteamento direto (mesma Rede) Com Hubs
externa Rede P1 Hub P1 P1 P1 Hub-trabalha na camada física Recebe um sinal elétrico e replica-o em todas as suas portas. Como B sabe que a transmissão é prá ele? A B Montando o pacote (P1) para transmissão , Camada de Enlace , Internet (Interede,Rede)‏ 1032,80 (Portas) Seq=100 Transporte Get index.htm (Método Http) Aplicação Host A Ip / Mac Host B Ip / Mac

4 Transmissão usando Roteamento direto (mesma Rede) Com Hubs
externa Rede P1 Hub P1 P1 P1 Quem se preocupa com as camadas de enlace, rede, transporte e aplicação nesta transmissão? A B Montando o pacote (P1) para transmissão , Camada de Enlace , Internet (Interede,Rede)‏ 1032,80 (Portas) Seq=100 Transporte Get index.htm (Método Http) Aplicação Host A Ip / Mac Host B Ip / Mac

5 Get index.htm (Método Http)
Transmissão usando Roteamento direto (mesma Rede) Com Switches Tabela de Portas Switch 0= = = = Rede externa Rede P1 P1 A B Montando o pacote (P1) para transmissão , Enlace , Internet 1032,80 (Portas) Seq=100 Transporte Get index.htm (Método Http) Aplicação Host A Ip / Mac Host B Ip / Mac

6 Get index.htm (Método Http)
Transmissão usando Roteamento direto (mesma Rede) Com Switches Tabela de Portas Switch (CAM) 0= = = = Rede externa Rede P1 P1 Quem se preocupa com as camadas de enlace, rede, transporte e aplicação nesta transmissão? A B Montando o pacote (P1) para transmissão , Enlace , Internet 1032,80 (Portas) Seq=100 Transporte Get index.htm (Método Http) Aplicação CAM Content-addressable memory Host A Ip / Mac Host B Ip / Mac

7 Tranmisssão usando Switches
Rede A tabela de portas do Switch inicialmente está vazia A partir das transmissões, o Switch vai montando a tabela com base nas informações dos endereços MAC DE ORIGEM dos quadros (frames) Esta tabela é usada para encaminhar os quadros para as portas específicas dos Hosts de destino P1 P3 P2 A B C Tabela de Portas Switch Porta Mac P1 P2 P3 Host A Ip Mac Host B Ip Mac Host C Ip Mac

8 Enlace Origem Enlace Destino
ARP (Address Resolution Protocol-Protocolo de Resolução de Endereços)‏ Para fazer a transmissão do pacote de A para B, os endereços de origem de enlace e rede são obtidos da própria configuração da máquina Rede Para montar o endereço de destino da camada de rede, essa informação pode ser obtida da aplicação (ping no exemplo) em execução. P1 P1 Mas e o endereço de enlace de destino, como obtê- lo? A B Ping Enlace Rede Enlace Origem Enlace Destino IP Origem IP destino , Host A Ip / Mac Host B Ip / Mac

9 Requisição ARP (Address Resolution Protocol)
Rede Host A Ip / Mac P1 P1 A Host B Ip / Mac B Ping Enlace Rede Enlace Origem Enlace Destino Protocolo IP Origem IP destino ,FF-FF-FF-FF-FF-FF ARP-Pergunta , ARP-Reply , Pacote ARP-Pergunta (Request): Mensagem de Broadcast para todos as máquinas da Rede perguntando pelo endereço MAC (enlace) de um determinado endereço IP Para evitar novos broadcasts a informação descoberta é guardada no Cache do ARP

10 SWITCHING O switch mantém uma tabela com os MAC’s conectados a ela,
relacionando-os com a porta que foram “aprendidos”. Quando um MAC não existe na tabela, ele é procurado em todas as portas, comportando-se a switch como um HUB. O espaço (Host table ou CAM table) é limitado e quando preenchido Totalmente, faz com que o switch comporte-se como um HUB ! (????) ou simplesmente TRAVE.

11 Ataques de Camada 2 MAC Flooding: Inundação (Flooding) da Tabela de Hosts ARP Poisoning: Envenenamento do Cache do ARP Denial of Service (DoS) : Negação de Serviço

12 Inundação (Flooding) da Tabela de Hosts dos Switches
MAC Flooding Inundação (Flooding) da Tabela de Hosts dos Switches O ataque não causa DoS, mas uma vez lotada a CAM (Content-addressable memory), o Switch comporta-se como HUB Quando os switches comportam-se como Hubs, qualquer máquina com um Sniffer instalado pode capturar todos os pacotes que passam na rede. Softwares como CAIN & ABEL podem capturar senhas dos usuários

13 ARP POISONING Envenenamento do Cache do ARP
Também conhecido como ARP Spoofing (falsificação do cache ARP) É o meio mais eficiente de executar o ataque conhecido por Man-In-The-Middle (MITM), que permite que o atacante intercepte informações confidenciais posicionando-se no meio de uma conexão entre duas ou mais máquinas

14 ARP Poisoning C A B Host B envenenando o Cache do ARP dos Hosts A e C
Tabela de Portas P1= P2= P3= P2 P1 P3 C Resposta ARP Resposta ARP A B IP tem o Mac IP tem o Mac Host B envenenando o Cache do ARP dos Hosts A e C Host C Ip Mac Host A Ip Mac O atacante, host B, envia uma resposta ARP para dizer ao Host A que o IP de C pertence ao seu endereço MAC. Outra resposta ARP é enviada ao Host C, dizendo que o IP de A pertence ao endereço MAC de B. Os hosts A e C aceitam a resposta ARP e ficam com o cache do ARP falsificado Cache ARP IP Mac (X Entrada excluída) Entrada falsificada pelo Host B Cache ARP IP Mac (X Entrada excluída) Entrada falsificada pelo Host B

15 Arp Poisoning Resultado da falsificação do Cache
Tabela de Portas P1= P2= P3= Quadro do Host A para o Host C P3 P1 P2 , A B C Para transmitir o quadro acima, o Switch identifica que o endereço Mac destino é (falsificado pelo Host B) e, consultando a tabela de portas, envia o quadro para a porta 2. Ou seja, as mensagens de A para C irão para o Host B. Idem para as mensagens de C para A. O Host B recebe a mensagem de A-> C, mas depois ele a transmite para o Host C, caso contrário a comunicação teria problemas e seria apenas um ataque DOS (Denial of Service) Host A Ip Mac Host C Ip Mac Cache ARP IP Mac Cache ARP IP Mac Host B (Atacante) Ip Mac

16 ARP Poisoning (Consequências)
Qualquer mensagem não criptografada pode ser capturada por um atacante, basta usar um Sniffer -Um Sniffer é um software que captura pacotes que passam pela Rede Um Sniffer excelente e freeware é o Wireshark, que possui versões tanto Windows como Linux Pode-se capturar senhas, tráfego de voz (eavesdropping). Se o tráfego não estiver criptografado, o ataque é facílimo, há softwares específicos como Caim e Abel que permitem isso Links sobre captura de tráfego de voz na rede usando Arp Poisoning

17 ARP Poisoning Recomendações para evitar o Ataque:
Configurar Mac Binding nos switches, cadastrando em cada porta do switch a lista de MAC's que podem ser conectadas a essa porta Ferramentas de detecção de ARP Poisoning, como o arpwatch Uso VLANs reduz a aplicação de Arp Spoofing: Pode-se, por exemplo, isolar o segmento de voz do segmento de dados O uso de criptografia é essencial em transmissão de dados sigilosos, ela não evita o Arp spoofing, mas reduz os seus efeitos

18 EXEMPLO ARP POISONING C/ O SOFTWARE CAIN
Selecione a Aba Superior Sniffer Use o menu Configure para selecionar a placa de rede Use a ferramenta para start do Sniffer Use a ferramenta + para pesquisar os Hosts 5. Selecione o intervalo de endereços Ips para pesquisar com o Mac Address Scanner 6. Selecione a opção APR para configurar os Hosts a serem atacados

19 7. Clique nesta janela 8. Use a ferramenta + para adicionar hosts vítimas do ataque 10. Iniciar o envenenamento do ARP 9. Selecione na janela esquerda a primeira vítima e na janela direita a segunda vítima

20 12. Vítima digitando do google e yahoo
11. Selecionar a opção Descobrir Senhas (Password) 13. Recebendo a captura das senhas

21 Denial of Service Um hacker pode facilmente associar um endereço IP operacional a um endereço MAC falso. Para tanto, um hacker pode enviar uma resposta ARP associando o endereço IP do roteador da rede com um endereço MAC que não existe. Resultado: Os Hosts acreditam que sabem onde o gateway padrão está, mas na realidade todos os pacotes que estão enviando para aquele destino não vão para a rede local, mas sim para um grande buraco negro. Com pouco trabalho, o hacker conseguiu separar a rede da Internet.